Azure AD API（REST 或库）访问访问或 SAML 令牌超时答案

【问题标题】：Azure AD API (REST or Library) to access Acess or SAML token timeoutAzure AD API（REST 或库）访问访问或 SAML 令牌超时
【发布时间】：2017-09-26 11:02:26
【问题描述】：

我已将 WSFed 身份验证与基于 Cookie 的身份验证相结合。

我想将 cookie 过期时间设置为 SAML 令牌超时。

是否有任何 Azure AD API（REST 或配置）可用于访问 SAML 令牌超时？一种方法是从配置中读取它，但要寻找更通用的解决方案。

提前感谢您的帮助

【问题讨论】：

标签： owin azure-active-directory ws-federation owin-middleware

【解决方案1】：

AFAIK，没有这样的 Azure AD API，我们可以读取从 Azure AD 发出的令牌的生命周期。不确定您指的是哪种配置，通常问题会在令牌自身中声明生命周期。

例如，对于 SAML 令牌的生命周期，我们可以读取 saml:Conditions 元素，如下所示：

<saml:Conditions
     NotBefore="2004-12-05T09:17:05"
     NotOnOrAfter="2004-12-05T09:27:05">
     <saml:AudienceRestriction>
       <saml:Audience>https://sp.example.com/SAML2</saml:Audience>
     </saml:AudienceRestriction>
</saml:Conditions>

更多关于SAML，你可以参考下面的链接：

Single Sign-On SAML protocol

【讨论】：

谢谢，我们可以在收到 SAML 令牌后触发/设置 cookie 身份验证吗？这样我就可以计算生命周期并将其设置为 cookie 过期时间。
不确定如何将 cookie 写入客户端。如果您使用的是cookie OWIN 组件，则没有此类事件我们可以动态写入cookie 的过期时间。根据我的理解，没有必要为带有 SAML 令牌的 cookie 配置相同的生命周期。您只需要根据所需的业务 Web 应用程序考虑您的 Web 应用程序的 cookie 过期时间。